चोरी-मार, लिख-डाउनलोड

इस साल जनवरी में , ICQ सेवाओं में से एक में भेद्यता पाई गई थी । यह उन फ़ाइलों तक पहुंच के साथ जुड़ा था जो उपयोगकर्ता एक बार एक दूसरे को हस्तांतरित कर देते थे। भेद्यता को समाप्त कर दिया गया था, लेकिन इस तरह की परिस्थितियां अद्वितीय नहीं हैं।
नीचे हम उपयोगकर्ताओं के बीच फ़ाइल साझा करने के लिए डिज़ाइन की गई एक और सेवा पर विचार करेंगे।


आज, ग्राहकों में से एक ने मुझे dropplr.com का उपयोग करके TK भेजा। सेवा वास्तव में सुविधाजनक है। मैं सभी प्रकार के ड्रॉपबॉक्स का उपयोग नहीं करता हूं और जैसे इंटरनेट की कम गति के कारण। लेकिन मुझे यह सेवा पसंद है, सब कुछ काफी सुविधाजनक है, इंटरफ़ेस, विभिन्न प्लेटफार्मों के लिए क्लाइंट, लेकिन सबसे महत्वपूर्ण बात, आप अन्य लोगों की फ़ाइलों को डाउनलोड कर सकते हैं।
जब मैंने ग्राहक से लिंक पर क्लिक किया, तो यह स्पष्ट हो गया कि लिंक शॉर्टनर का उपयोग ड्रापलर पर किया गया था। परिणामस्वरूप, फ़ाइल डाउनलोड करने के लिए पेज कुछ इस तरह दिखता है: d.pr[az]{1}/[A-z0-9]{4}

पहली प्रविष्टि के मामले में, केवल एक लोअरकेस चरित्र का उपयोग किया जाता है, जो कि जैसा कि समय ने दिखाया है, सिस्टम के लिए पूरी तरह से उदासीन है।

4 वर्णों के दूसरे क्रम में लोअरकेस, अपरकेस लैटिन अक्षर और संख्याएँ शामिल हो सकती हैं।
यह देखते हुए कि सेवा का उपयोग बड़े पैमाने पर लोगों द्वारा किया जाता है, हम यह मान सकते हैं कि दूसरे पैरामीटर की पाशविक शक्ति के साथ, हम अक्सर अन्य लोगों की फाइलों पर ठोकर खाएंगे, क्योंकि संभावित विकल्पों की कुल संख्या 14776336 है।

आमतौर पर, मैं PHP या नंगे BASH में ऐसे कार्य लिखता हूं, आपकी जरूरत की हर चीज सही होती है। लेकिन मुझे विकसित करने की आवश्यकता है, इसलिए मैंने पायथन पर ध्यान केंद्रित करने का फैसला किया, क्योंकि मुझे पहले से ही इसके साथ कुछ अनुभव है।

कार्य को देखते हुए, हमें किसी तरह सेवा का उपयोग करने की आवश्यकता है, पायथन में इसके लिए कई कार्यान्वयन और इंटरफेस हैं, मैंने अनुरोधों को रोकने का फैसला किया, क्योंकि इस पुस्तकालय में वे सभी आवश्यकताएं हैं जिनकी हमें आवश्यकता है।

यदि आपके पास पाइप है, तो स्थापना में केवल कुछ सेकंड लगेंगे।

pip install requests

ब्यूटीफुलसुप नामक पृष्ठ को पार्स करने के लिए एक शक्तिशाली पुस्तकालय है। पाइप के माध्यम से स्थापना भी प्राथमिक है।
pip install beautifulsoup4

आप GitHub पर स्क्रिप्ट डाउनलोड कर सकते हैं।

जैसा कि मैंने सोचा था, काम के पहले 5 मिनट के बाद, व्यक्तिगत डेटा वाली लगभग 10 छवियां मिलीं, और यहां तक ​​कि क्या!


कुछ उपयोगकर्ता डेटा सहित व्यवस्थापक साइट।


और यहाँ फोन नंबर हैं


एलआर के जीवन में एक दिन।


डिस्चार्ज से, एक दोस्त से, मेरे खर्च पर खरीदें।

मुझे लगता है कि यह स्क्रिप्ट के 5 मिनट प्रदर्शित करने के लिए पर्याप्त है।
सतर्क रहें, नेटवर्क पर व्यक्तिगत और विशेष रूप से भुगतान डेटा प्रकाशित न करें।

कुछ विशेषताएं

साइट पर बॉट चेक बिल्कुल नहीं हैं। हमें एक एजेंट उपयोगकर्ता भेजने की भी आवश्यकता नहीं है। स्वाभाविक रूप से, कई अनुरोधों के लिए कोई प्रतिबंध नहीं है।
एक फ़ाइल के लिए एक सीधा लिंक लगभग एक मिनट तक रहता है, फ़ाइल डाउनलोड पृष्ठ पर जाने के बाद ही एक नया लिंक प्राप्त किया जा सकता है।
लगभग 80% यादृच्छिक लिंक फाइलों की ओर इशारा करते हैं।

UP # 1 उपयोगकर्ता लाइबिन ने मल्टीथ्रेडिंग समर्थन जोड़ा ।
UP # 2 में अब कोई GAD नहीं है, सभी GET, यूजर एजेंट, रेफर और टाइमआउट जोड़ा गया है।